В контроллере вы можете взять HttpServletRequest в качестве параметра и получить источник из заголовка в виде:
String origin = request.getHeader("Origin");
Источник вернет: www.mydomain.com, если этот URL / API доступен из вашего домен или другой домен, если ваш URL / API доступен из другого домена, например Facebook
Демо-метод:
public ResponseEntity<Foo> getFoo(HttpServletRequest request) {
String origin = request.getHeader("Origin");
System.out.println(origin);
}